¯\_(ツ)_/¯

> прихожу я на сервер к проекту с docker-compose, смотрю что где лежит,

вообще, похоже, придётся всё остановить и пересоздать, а не искать причину.

вообще, похоже, придётся всё остановить и пересоздать, а не искать причину.

docker volume ls можно?

там стопицот вольюмов с именами в виде хешей и одинокий postgresql_data

volumes: volume_name: name: docker_volume_name

по идее в этом проблема

надо попробовать добавить имя

ну и почитать https://github.com/docker/compose/issues/3731

там и про _ в именах есть

хорошо, спасибо

ну так у него же локальный волум, так что какая разница что DO это не поддерживает :)

кстати, лыбопытно, а они там вот эти плагины и всё такое перепилили, как с год назад обещали, или забили как обычно :)

hi guys) подскажите как сделать чтобы контейнер пере собирался при изменении файла.

Автоматически, когда ты сохраняешь свои изменения?

hi guys) подскажите как сделать чтобы контейнер пере собирался при изменении файла.

inotify ? icron ? не праивльный подход ?

imac

imax !

Помогите с сертификатами для Registry разобраться. Не понимаю чего не хватает.

10.66.80.47 - это мой IP

Видимо мой компьютер не принимает самоподписной сертификат? Его нужно установить вручную или что?

Минутка юмора в цитатах "Docker создавался с учетом требований безопасности"

Минутка юмора в цитатах "Docker создавался с учетом требований безопасности"

ну почему, нормальное утверждение

Видимо мой компьютер не принимает самоподписной сертификат? Его нужно установить вручную или что?

у меня tls endpoint на nginx, который дальше проксит запросы в registry

nginx же выполняет аутентификацию

Видимо мой компьютер не принимает самоподписной сертификат? Его нужно установить вручную или что?

docker работает только с сертификатами, которым есть доверие, поэтому нужно корневой сертификат локального центра сертификации сунуть на все хосты, с которых планируется работать с registry

https://docs.docker.com/registry/insecure/#use-self-signed-certificates (пункт 3)

собственно, поэтому я поставил nginx и приладил к нему let's encrypt (не захотел возиться с запихиванием этих цертов в контейнер реестра и их последующим обновлением), получилось норм...

собственно, поэтому я поставил nginx и приладил к нему let's encrypt (не захотел возиться с запихиванием этих цертов в контейнер реестра и их последующим обновлением), получилось норм...

Тоже попробую Let's encrypt использовать. Но это не отменяет запихивание в контейнеры, вроде, нет? :)

нет, запихивать ничего не нужо, центру let's encrypt доверяют все

если речь о размещении сертификатов, то тоже не нужно ))

https://docs.docker.com/registry/recipes/nginx/#setting-things-up

без реверс-прокси, конечно, нужно церты пихать в контейнер с реестром (если реестр в контейнере)

если речь о размещении сертификатов, то тоже не нужно ))

👍

Квинтэссенция боли 😀 (вдруг кому будет интересно) https://habrahabr.ru/post/332450/

Да кому может быть интересно обзирать скелета или что то более истлевшее, только если в академических целях, но для этого там слишком истеричный стиль

ну че. многие моменты описаны правильно. хотя по стилю статьи видно что наболело.

без реверс-прокси, конечно, нужно церты пихать в контейнер с реестром (если реестр в контейнере)

Блин, у меня сервер снаружи не виден. Он во внутренней сети только. Можно, я так понимаю, вообще без сертификатов обойтись?

без сертификатов только локально работает...

docker pull/push https хочет

Сделай самоподписанный сертификат, и раскладывай его на тачки, в чем сложность?

собственно, поэтому я поставил nginx и приладил к нему let's encrypt (не захотел возиться с запихиванием этих цертов в контейнер реестра и их последующим обновлением), получилось норм...

Сделали аналогично, там единственное уточнение в proxy-pass необходимо передавать специальный хидер для registry

Сделай самоподписанный сертификат, и раскладывай его на тачки, в чем сложность?

собственно, да... ansible, например, сильно облегчит этот момент ))

собственно, да... ansible, например, сильно облегчит этот момент ))

Да без разницы как серты доставлять, хоть пакером раскладывай

Сделали аналогично, там единственное уточнение в proxy-pass необходимо передавать специальный хидер для registry

у меня схема немного сложнее, чем описана в офф доке, у меня nginx<->nginx<->registry, tls на первом nginx... эта схема не работала... я тут выше задавал вопрос, но никто не асилил ответить. впрочем, решение я сам нашел 🙂

Сделай самоподписанный сертификат, и раскладывай его на тачки, в чем сложность?

Вопрос распихивания сертификатов напрягает. Но видимо в этом направлении и придется двигаться

docker pull/push https хочет

жаль... придется рыть

Вопрос распихивания сертификатов напрягает. Но видимо в этом направлении и придется двигаться

нахреновертить тучу всяких скриптов деплоя и сборки имеджей не напрягает, а такая мелкая работа, как просто скопировать один файлик в папочку - напрягла? 😀

Напрягает то, что половина этих действий приходится как-то вручную делать. А мне хочется запустить один скрипт и чтобы он мне на новой машине развернул целый зоопарк, цирк и карусельку.

чтобы на машине запустить скрипт, туда сначала надо накатить, как минимум, ось и докер с докер-композером...

почему бы на этом этапе на впилить церт?

у меня, например, настройка docker-ноды, после установки операционки, занимает нажатие одной кнопки 🙂

у меня, например, настройка docker-ноды, после установки операционки, занимает нажатие одной кнопки 🙂

тут вопрос простой - когда надоест руками делать

кто нибудь включал docker registry в gitlab?

кто нибудь включал docker registry в gitlab?

там все просто же ))

не для меня=(

в чем проблема?

сертификат обязательно нужен?

да, обязательно

выше как раз про сертификат разговор был, десяток постов наверх

самоподписанный пойдет?

why not?

docker работает только с сертификатами, которым есть доверие, поэтому нужно корневой сертификат локального центра сертификации сунуть на все хосты, с которых планируется работать с registry

вот ответ про самоподписанный

чтобы на машине запустить скрипт, туда сначала надо накатить, как минимум, ось и докер с докер-композером...

Ну это есть уже. А вот все остальное хочется автоматически. )

Ну это есть уже. А вот все остальное хочется автоматически. )

тогда ansible/puppet/etc... )))

Но я похоже просто не понимаю принцип работы с сертификатами. У кого они должны быть, как они должны выглядеть и т.д. Видимо надо это копать сначала.

Ну это есть уже. А вот все остальное хочется автоматически. )

ну вы ос ставите же? ну ставьте серты вместе с ос.

можно извращнуться при деплое скриптом, который перед основными процедурами скриптом через ssh впилит сертификат в папку и заапдейтит кеш

сертификат обязательно нужен?

нет, можешь сделать insecure registry

нет, можешь сделать insecure registry

Это настройки где-то в докере, да?

такой вариант мне больше нравится

нет, можешь сделать insecure registry

это правда при условии локального использования, в gitlab подразумевается распределенная работа

Это настройки где-то в докере, да?

на каждый хост с докером делаешь настройку

/etc/docker/daemon.json { "insecure-registries" : ["myregistrydomain.com:5000"] }

если вся работа gitlab происходит исключительно на одном хосте (ВООБЩЕ вся), то можно попробовать инсекьюр

да хоть 50 хостов, речь же явно о локальной сети

да

да, я вру, инсекьюр будет работать без tls совсем

на каждый хост с докером делаешь настройку

Ага, вполне вариант. У меня пока на одном сервере, вообще все. Но чуть позже будет несколько. Но, учитывая, что все внутри защищенной сети, то заморочки с сертификатом выглядят излишними.